Amazon Redshift が連合権限によるセキュアなログへのアクセスを簡素化

Amazon Redshift は、細粒度アクセス制御 (FGAC) で保護されたデータ上のクエリをトラブルシューティングおよび監査しやすくする。新しい DEBUG 権限を使用すると、データ所有者は複数の Redshift データウェアハウスにわたる未編集のセキュアログ記録を特定のアイデンティティに表示させることができる。Amazon Redshift の連合権限では、データ権限を一度定義し、Redshift が AWS アカウントのすべての Redshift ウェアハウスで自動的に適用する。クエリが FGAC で保護されたデータにアクセスすると、システムテーブルのレコード内の機密値 (再書かれたクエリテキスト、エラーメッセージ、オブジェクト名など) がセキュアログでマスクされる。これにより、プロデューサーのデータがコンシューマーに保護される。一方、許可された監査担当者や管理者は、セキュアログを無効にせずにこれらのレコードを表示してクエリをトラブルシューティングし、コンプライアンス要件を満たす必要がある。新しい DEBUG 権限により、スーパーユーザーまたはデータベース所有者は、どのアイデンティティがこれらのレコードをマスクなしで表示できるかを選択できる。DEBUG は標準の Redshift GRANT コマンドで付与され、通常は IAM ユーザー、IAM ロール、または IAM Identity Center のユーザーまたはグループに付与され、そのアイデンティティが自分のクエリの未編集レコードを表示できる。コンシューマーアカウントの管理者に DEBUG を付与して、トラブルシューティングおよび監査中に完全なログ可視性を得ることもできる。アカウント管理者向けに許可されたレコードは、Redshift システムテーブルデータを Amazon S3 テーブルにエクスポートしても未編集のままになる。ログを表示できる人を正確に監査可能に制御でき、セキュアログは有効のままになる。この機能は、Amazon Redshift がサポートするすべての AWS リージョンで利用できる。詳細については、Amazon Redshift のドキュメンテーションの連合権限、使用注意、およびセキュアログを参照してください。

この更新の位置づけ

この更新は、データ保護とクエリ監査を両立させるために、Redshift の管理者や監査担当者に役立つ。連合権限を使用する Redshift のユーザーが対象。